StopAndProtect : 2 000 sites WordPress piratés en réseau criminel

Une erreur de configuration révèle un réseau criminel bâti sur des milliers de sites WordPress

Le 19 août 2026, les chercheurs de Check Point Research ont publié une analyse approfondie de StopAndProtect, une opération cybercriminelle qui a réussi à construire une infrastructure d'attaque redoutable en exploitant les failles de sécurité de près de 2 000 sites WordPress légitimes. La découverte de l'étendue réelle de ce réseau a été rendue possible par une erreur classique des opérateurs : une mauvaise configuration de leur serveur a involontairement exposé leurs fichiers internes, permettant aux chercheurs de cartographier l'intégralité de l'opération avec un niveau de détail rarement atteint dans l'analyse de campagnes criminelles actives.

L'opération StopAndProtect est active depuis mai 2026. En trois mois d'activité, les cybercriminels ont bâti une infrastructure tentaculaire reposant sur des sites WordPress tiers compromis qui jouent trois rôles distincts et complémentaires : vecteur de distribution initiale du malware auprès de nouvelles victimes, infrastructure de commandement et contrôle (C2) pour les machines déjà infectées, et espace de stockage des données exfiltrées — documents volés, captures d'écran, journaux d'activité des victimes. Cette architecture distribuée rend particulièrement difficile le démantèlement de l'opération, car il n'existe pas de serveur central unique à neutraliser.

Le vecteur d'infection initial repose sur une technique désormais bien documentée mais toujours redoutablement efficace : le ClickFix. Les visiteurs des sites WordPress compromis se voient présenter une fausse page de vérification CAPTCHA, habillée avec soin pour ressembler aux écrans de vérification légitimes de Google reCAPTCHA ou Cloudflare Turnstile. Le message invite l'utilisateur à prouver qu'il n'est pas un robot en suivant une série d'instructions qui le conduisent en réalité à copier et exécuter manuellement une commande PowerShell dans son terminal Windows. Cette manipulation exploite la confiance de l'utilisateur et contourne les protections automatiques des navigateurs, puisque c'est la victime elle-même qui exécute volontairement la commande malveillante.

La chaîne d'infection qui suit est construite en plusieurs étapes conçues pour maximiser la persistance et l'évasion. L'exécution de la commande PowerShell déclenche le téléchargement d'une première couche de chargeurs (downloaders) et de loaders écrits en .NET, spécifiquement conçus pour établir la persistance sur la machine et télécharger les composants définitifs du malware en évitant les détections antivirus. L'arsenal final comprend un ensemble de modules criminels travaillant en synergie : un composant ransomware chargé de chiffrer les fichiers de la victime contre rançon, un ver se propageant via les partages réseau SMB et les clés USB connectées, un LockScreen bloquant l'accès au bureau Windows, un spreader VBS se diffusant via des scripts Visual Basic, un utilitaire de chat permettant aux attaquants de communiquer en temps réel directement avec leurs victimes, et enfin un stealer chargé d'exfiltrer les identifiants stockés dans les navigateurs et les gestionnaires de mots de passe.

L'ampleur géographique de l'opération est significative et internationale. Au 24 juillet 2026, les chercheurs de Check Point Research avaient identifié plus de 6 000 adresses IP uniques compromises à travers le monde. Les États-Unis concentrent la majorité des victimes avec 1 852 adresses IP affectées, suivis par la Russie et l'Inde avec 630 chacun. La présence notable de victimes en Russie est inhabituelle dans ce type de campagne et suggère que les opérateurs de StopAndProtect ne pratiquent pas l'exclusion géographique habituelle des groupes cybercriminels russophones.

L'exposition involontaire du backend de l'opération a livré aux chercheurs des informations précieuses sur les méthodes des attaquants. Les fichiers accessibles suite à l'erreur de configuration comprenaient des journaux d'activité détaillés, des listes de sites WordPress compromis avec leurs identifiants d'accès, les outils utilisés pour maintenir la persistance sur ces sites, et des archives de données volées aux victimes. Cette manne informationnelle rare a permis à Check Point Research de reconstituer l'ensemble de la chaîne opérationnelle et d'identifier précisément les techniques de compromission initiale des sites WordPress utilisées par les attaquants.

Du côté des sites WordPress victimes, les vecteurs de compromission correspondent aux suspects habituels du secteur : plugins obsolètes présentant des vulnérabilités non corrigées, thèmes piratés contenant des backdoors préinstallées, et mots de passe d'administration faibles exposés à des attaques par force brute automatisées. Les sites ainsi compromis n'ont, pour la plupart, aucune idée qu'ils participent malgré eux à une opération criminelle à grande échelle. Leurs administrateurs n'observent qu'un trafic légèrement inhabituel et des performances parfois dégradées, sans alertes de sécurité évidentes dans les tableaux de bord par défaut de WordPress.

L'utilisation du nom StopAndProtect par les cybercriminels n'est pas anodine. Il s'agit d'une référence ironique à un service fictif de protection en ligne que les attaquants présentent comme légitime dans leurs interactions avec les victimes via le module de chat intégré au malware. Cette mise en scène cynique illustre la sophistication sociale de l'opération, qui va bien au-delà du simple déploiement de code malveillant : les attaquants maintiennent une interaction soutenue avec leurs victimes pour maximiser le paiement des rançons et extraire des informations supplémentaires.

WordPress, terrain de chasse privilégié des cybercriminels professionnels

L'opération StopAndProtect s'inscrit dans une longévité inquiétante de l'exploitation de WordPress comme infrastructure malveillante de substitution. Avec plus de 43 % des sites web mondiaux fonctionnant sous cette plateforme en 2026, WordPress représente une cible de choix pour les cybercriminels qui cherchent à construire des réseaux d'infrastructure distribués sans avoir à investir dans leurs propres serveurs. La fragmentation de l'écosystème de plugins — des dizaines de milliers de modules tiers dont la qualité de sécurité est très variable — et la difficulté des administrateurs non techniques à maintenir leurs installations à jour créent un réservoir de machines compromissibles quasiment inépuisable pour les groupes organisés.

Ce qui distingue StopAndProtect des campagnes d'exploitation WordPress précédentes est la sophistication et la diversité de son arsenal post-compromission. Là où les opérations antérieures se contentaient souvent de transformer les sites en redirecteurs de spam, en distributeurs de faux logiciels, ou en hébergeurs de pages de phishing, StopAndProtect déploie un véritable toolkit criminel multi-composants capable de générer plusieurs flux de revenus simultanés : rançons des victimes du ransomware, revente d'identifiants volés sur les marchés cybercriminels du dark web, location potentielle de l'infrastructure C2 à d'autres groupes, et chantage via les données sensibles exfiltrées.

La technique ClickFix mérite une attention particulière car elle représente l'une des évolutions les plus préoccupantes de l'ingénierie sociale récente dans le paysage des menaces. En déléguant à la victime l'exécution du code malveillant — plutôt qu'en tentant d'exploiter une vulnérabilité technique du navigateur ou du système d'exploitation — les attaquants contournent efficacement les mécanismes de sandbox, les antivirus comportementaux et les systèmes de filtrage réseau. La formation des utilisateurs à ne jamais exécuter des commandes copiées depuis un site web, aussi légitime qu'il paraisse, devient donc un prérequis de sécurité fondamental.

Pour les organisations, les implications réglementaires sont également à considérer attentivement. Un site WordPress appartenant à une entreprise et utilisé comme plateforme de distribution de malwares peut engager la responsabilité de cette entreprise vis-à-vis du RGPD si des données personnelles de visiteurs ont été collectées ou compromises via ce vecteur. Les obligations de notification aux autorités compétentes (CNIL en France, autres DPA européennes) en cas de violation de données s'appliquent même lorsque l'organisation est elle-même victime d'une compromission de son infrastructure web, une réalité que beaucoup d'entreprises découvrent encore avec surprise lors d'audits de conformité.

Ce qu'il faut retenir

• StopAndProtect utilise près de 2 000 sites WordPress piratés comme nœuds C2, de distribution et de stockage — une architecture résiliente qui complique considérablement le démantèlement par les autorités.
• Le vecteur ClickFix (faux CAPTCHA + commande PowerShell) contourne les protections automatiques des navigateurs en exploitant la confiance de l'utilisateur, rendant la formation des collaborateurs indispensable.
• Mettre à jour immédiatement tous les plugins et thèmes WordPress, activer le MFA sur les consoles d'administration, et déployer un WAF sont les mesures de protection prioritaires pour les administrateurs de sites.